Synology, yamalanmamış NAS cihazlarına yönelik aktif C3RB3R fidye yazılımı saldırılarına karşı uyardı

Synology, güncel olmayan DiskStation Manager (DSM) sürümleri çalıştıran ağ depolama (NAS) cihazlarına karşı saldırganların aktif olarak C3RB3R fidye yazılımı yerleştirdiğine dair nadir bir uyarı yayımladı; bu bilgi BleepingComputer'a dayanıyor. Şirket, saldırıların sürdüğünü belirtip müşterilerini derhal güncelleme yapmaya çağırdı.

Neler oldu?

BleepingComputer'a göre Synology, tehdit aktörlerinin yamasız bir açığı istismar ederek NAS cihazlarındaki verileri şifrelediğini ve kurbanlardan fidye istediğini söylüyor. Kurbanlar read-me3.txt adlı bir fidye notu ve .L0CK3D uzantısıyla yeniden adlandırılmış dosyalarla karşılaşıyor. Not, dosyaları üçüncü taraf yazılımlarla geri getirmeye çalışmanın "ölümcül olacağı" uyarısını yapıp kurbanları bir "C3rb3r Decryptor" aracı satın almaya yönlendiriyor; habere göre bu araç karanlık ağdaki bir portal üzerinden binlerce dolara satılıyor. İlk kullanıcı bildirimleri duyurudan iki haftadan fazla süre önce ortaya çıkmış ve makale, verileri şifrelenen müşterilerden gelen "büyük bir dalga" bildirimden söz ediyor.

Teknik detaylar

Cerber veya CerberImposter olarak da bilinen fidye yazılımı, adını ilk kez 2016'da ortaya çıkan bir Hizmet Olarak Fidye Yazılımı (RaaS) operasyonundan alıyor. Synology hangi açığın istismar edildiğini açıklamadı. BleepingComputer, Synology'nin Kasım 2024 tarihli Synology_SA_24_20 duyurusuna işaret ettiğini belirtiyor; bu duyuru üç açığı kapsıyor: CVE-2024-10441 (rastgele kod çalıştırma), CVE-2024-50629 (dosya okuma) ve CVE-2024-10445 (dosya yazma). Haber bir tutarsızlığa dikkat çekiyor: Synology'nin duyurusu istismar edilen açığın "Aralık 2024'te yamalandığını" söylüyor; bu, bağlantı verdiği Kasım 2024 duyurusuyla örtüşmüyor ve makale bu çelişkiyi çözmüyor.

Kimler etkileniyor?

Saldırılar, güncel olmayan DSM çalıştıran Synology NAS cihazlarını hedef alıyor; makale belirli modelleri sıralamıyor. Shadowserver, internete açık 380.000'den fazla Synology NAS cihazı izliyor; ancak kaçının güvene alınmış ya da tuzak sistem olduğunu belirtmiyor. BleepingComputer, Synology'nin saldırı uyarılarını nadiren yaptığını, bir önceki uyarısının Ağustos 2019'a dayandığını aktarıyor.

Ne yapmalı?

Synology, "savunmasız sürümleri çalıştıran tüm kullanıcıların" DSM'i derhal güncellemesi gerektiğini söylüyor. Üreticinin tablosuna göre etkilenen sürümler şu yapılara taşınmalı: DSM 7.2.2-72806-1 veya sonrası, 7.2.1-69057-6 veya sonrası, 7.2-64570-4 veya sonrası, 7.1.1-42962-7 veya sonrası ve 6.2.4-25556-8 veya sonrası. Synology ayrıca otomatik güncellemelerin açılmasını ve NAS yönetim web arayüzüne internet üzerinden erişimin engellenmesini öneriyor. Saldırılar sürdüğü için yöneticiler internete açık cihazları öncelikli olarak ele almalı.